DanaBot มัลแวร์รัสเซียตัวร้าย กับการเชื่อมโยงระหว่างอาชญากรรมไซเบอร์และการจารกรรมระดับรัฐ
ในโลกของอาชญากรรมทางคอมพิวเตอร์ รัสเซียเป็นพื้นที่ที่เส้นแบ่งระหว่างการโจมตีเพื่อผลประโยชน์ส่วนตัว การจารกรรมข้อมูล และสงครามไซเบอร์ที่สนับสนุนโดยรัฐมีความคลุมเครืออย่างมาก กรณีล่าสุดที่ตอกย้ำเรื่องนี้คือการกวาดล้างเครือข่าย Botnet (เครือข่ายคอมพิวเตอร์ที่ถูกควบคุมโดยผู้ไม่หวังดี) ขนาดมหึมาที่ชื่อว่า DanaBot ซึ่งถูกนำไปใช้ในปฏิบัติการที่หลากหลาย ตั้งแต่การเรียกค่าไถ่ ไปจนถึงการโจมตีทางทหารในยูเครน
การทลายเครือข่ายและข้อกล่าวหาทางกฎหมาย
กระทรวงยุติธรรมสหรัฐฯ (DOJ) ได้ประกาศสั่งฟ้องบุคคล 16 รายที่มีความเชื่อมโยงกับปฏิบัติการ DanaBot โดยระบุว่ากลุ่มนี้มีฐานปฏิบัติการอยู่ในรัสเซีย ซึ่งรวมถึงผู้ต้องสงสัยอย่าง Aleksandr Stepanov และ Artem Aleksandrovich Kalinkin จากเมืองโนโวซีบีสค์ นอกจากนี้ หน่วยงานสืบสวนอาชญากรรมป้องกันประเทศ (DCIS) ยังได้ดำเนินการยึดโครงสร้างพื้นฐานของ DanaBot ทั่วโลก รวมถึงในสหรัฐอเมริกา เพื่อหยุดยั้งความเสียหาย
จากการสืบสวนพบว่า DanaBot ได้แพร่กระจายและติดเชื้อในเครื่องคอมพิวเตอร์อย่างน้อย 300,000 เครื่องทั่วโลก สร้างความเสียหายทางการเงินมหาศาล และส่งผลกระทบต่อหน่วยงานที่มีความอ่อนไหวสูง เช่น หน่วยงานทางการทูตและกองทัพ
วิวัฒนาการของ DanaBot: จากเครื่องมือขโมยเงินสู่เครื่องมือจารกรรม
DanaBot เริ่มต้นในปี 2018 ในรูปแบบของ Banking Trojan (มัลแวร์ที่ออกแบบมาเพื่อขโมยข้อมูลทางการเงิน) โดยเน้นการโจรกรรมข้อมูลบัตรเครดิตและสกุลเงินดิจิทัล แต่สิ่งที่ทำให้มันน่ากลัวคือโมเดลธุรกิจแบบ "Affiliate" ที่ผู้สร้างนำมัลแวร์นี้ไปขายให้กลุ่มแฮกเกอร์อื่นในราคา 3,000 ถึง 4,000 ดอลลาร์ต่อเดือน
การเปิดกว้างนี้ทำให้ DanaBot กลายเป็นเครื่องมืออเนกประสงค์ที่ใช้ติดตั้งมัลแวร์ชนิดอื่น รวมถึง Ransomware (มัลแวร์เรียกค่าไถ่) โดยขยายเป้าหมายจากยูเครน โปแลนด์ อิตาลี เยอรมนี ออสเตรีย และออสเตรเลีย ไปสู่สถาบันการเงินในสหรัฐฯ และแคนาดา
การโจมตีผ่านห่วงโซ่อุปทาน (Supply-Chain Attack)
ในปี 2021 Crowdstrike พบว่า DanaBot ถูกนำไปใช้ในรูปแบบการโจมตีห่วงโซ่อุปทาน โดยแฝงตัวอยู่ใน NPM ซึ่งเป็นเครื่องมือเขียนโค้ด JavaScript ที่มีการดาวน์โหลดหลายล้านครั้งต่อสัปดาห์ ส่งผลให้ธุรกิจในกลุ่มการเงิน การขนส่ง เทคโนโลยี และสื่อสารมวลชนตกเป็นเหยื่อ
ความเชื่อมโยงกับปฏิบัติการระดับรัฐ
สิ่งที่ทำให้กรณีนี้โดดเด่นคือหลักฐานที่ชี้ว่า DanaBot ถูกใช้ในภารกิจจารกรรมที่สนับสนุนโดยรัฐบาลรัสเซีย ในช่วงปี 2019-2020 มีการใช้มัลแวร์นี้โจมตีเจ้าหน้าที่รัฐบาลตะวันตกผ่านการส่งอีเมลหลอกลวง (Phishing) โดยปลอมตัวเป็นองค์กรความมั่นคงและความร่วมมือในยุโรป (OSCE) และหน่วยงานรัฐบาลของคาซัคสถาน
นอกจากนี้ ในช่วงเริ่มต้นของการบุกยูเครนเมื่อเดือนกุมภาพันธ์ 2022 DanaBot ถูกใช้เพื่อติดตั้งเครื่องมือ DDoS (การโจมตีเพื่อให้ระบบล่มโดยการส่งข้อมูลจำนวนมหาศาลเข้าไป) เพื่อโจมตีเซิร์ฟเวอร์อีเมลของกระทรวงกลาโหมและสภาความมั่นคงและป้องกันประเทศของยูเครน
| หัวข้อ | รายละเอียด |
|---|---|
| จำนวนเครื่องที่ติดเชื้อ | อย่างน้อย 300,000 เครื่องทั่วโลก |
| รูปแบบเริ่มต้น | Banking Trojan (ขโมยเงิน/คริปโต) |
| โมเดลธุรกิจ | Affiliate (เช่าใช้เดือนละ $3,000 - $4,000) |
| เป้าหมายหลัก | สถาบันการเงิน, รัฐบาล, กองทัพ, NGO |
| วิธีการโจมตีเด่น | Supply-chain attack (ผ่าน NPM), Phishing, DDoS |
ข้อเท็จจริงสำคัญ
- ความหลากหลาย: DanaBot ถูกใช้ทั้งในอาชญากรรมเพื่อเงินและการจารกรรมข้อมูลระดับรัฐ
- ความผิดพลาดของแฮกเกอร์: ผู้สร้างบางรายถูกระบุตัวตนได้เพราะเผลอติดตั้งมัลแวร์ของตัวเองลงในเครื่องตนเอง ทำให้ข้อมูลส่วนตัวถูกส่งไปยังเซิร์ฟเวอร์ที่ DCIS ยึดได้
- ผลกระทบ: การทลายเครือข่ายนี้ช่วยลดความสามารถในการสร้างรายได้ของกลุ่มแฮกเกอร์ แม้ว่าอาจจะมีกลุ่มใหม่ขึ้นมาแทนที่ในอนาคต
คำถามที่พบบ่อย
DanaBot คืออะไร?
คือมัลแวร์ที่มีความรุนแรงสูง เริ่มต้นจากการเป็น Banking Trojan เพื่อขโมยเงิน แต่ต่อมาถูกพัฒนาให้เป็นเครื่องมือสำหรับติดตั้งมัลแวร์ชนิดอื่น เช่น แรนซัมแวร์ และใช้ในการจารกรรมข้อมูล
ทำไม DanaBot ถึงแพร่กระจายได้อย่างรวดเร็ว?
เพราะผู้สร้างใช้ระบบ Affiliate ให้กลุ่มแฮกเกอร์อื่นเช่าใช้งาน และมีการโจมตีผ่าน Supply-chain โดยแฝงตัวในเครื่องมือพัฒนาซอฟต์แวร์ยอดนิยมอย่าง NPM
มัลแวร์นี้เกี่ยวข้องกับรัฐบาลรัสเซียอย่างไร?
มีการตรวจพบว่า DanaBot ถูกใช้ในปฏิบัติการจารกรรมเจ้าหน้าที่รัฐบาลตะวันตก และใช้โจมตีโครงสร้างพื้นฐานทางดิจิทัลของกระทรวงกลาโหมยูเครนในช่วงสงคราม
แฮกเกอร์ถูกจับได้อย่างไรในเมื่อใช้มัลแวร์ปกปิดตัวตน?
เจ้าหน้าที่พบว่าสมาชิกบางคนในกลุ่มเผลอทำให้เครื่องคอมพิวเตอร์ของตัวเองติดเชื้อ DanaBot (อาจจะเพื่อการทดสอบหรือโดยอุบัติเหตุ) ทำให้ข้อมูลระบุตัวตนถูกส่งไปยังเซิร์ฟเวอร์ของมัลแวร์ ซึ่งต่อมาถูกเจ้าหน้าที่สหรัฐฯ ยึดไว้ได้
